u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr `\n` `:`)"

Терминал CyberFT
Руководство по установке и настройке
Установка Терминала CyberFT
Установка и настройка ОС Linux (Deban)
Загрузить ОС debian 7.8 можно с FTP:
http://download.cyberft.ru/OS/debian-7.8.0-amd64-netinst.iso
Во время установки, при выборе зеркал репозиториев укажите : ftp.ru.debian.org
При установке компонентов, выбираем только ssh-сервер + системные утилиты.
Проверите список репозиториев обновления debian:
/etc/apt/sources.list
Должны быть указаны следующие репозитории:
deb http://ftp.ru.debian.org/debian wheezy main contrib non-free
deb-src http://ftp.ru.debian.org/debian wheezy main contrib non-free
deb http://ftp.ru.debian.org/debian wheezy-updates main contrib non-free
deb http://ftp.ru.debian.org/debian-security wheezy/updates main contrib non-free
deb http://http.debian.net/debian wheezy-backports main
Для проверки версии версию ядра linux выполните команду:
uname –r
Получим примерно следующее:
3.2.0-0.bpo.4-amd64
Версия ядра Linux должна быть минимум 3.10
Обновить ядро можно командами:
sudo apt-get update
sudo apt-get install -t wheezy-backports linux-image-amd64
После обновления ядра, необходимо перезагрузить сервер.
Настройка окружения
apt-get -y install uuid nginx mysql-server redis-server cups lpr fail2ban samba stunnel4 openjdk-7-jre
openjdk-7-jdk build-essential libxml2-dev
Установка PHP
apt-get -y install software-properties-common python-software-properties
add-apt-repository 'deb http://packages.dotdeb.org wheezy-php56 all'
wget http://www.dotdeb.org/dotdeb.gpg
apt-key add dotdeb.gpg
apt-get update
apt-get -y install php5-fpm php5-common php5-cli php5-mcrypt php5-mysqlnd php5-curl php5-apcu
Установка Elasticsearch
wget https://download.elasticsearch.org/elasticsearch/release/org/elasticsearch/distribution/deb/elast
icsearch/2.1.0/elasticsearch-2.1.0.deb
dpkg -i elasticsearch-2.1.0.deb
/etc/init.d/elasticsearch restart
Установка КриптоПРО CSP
apt-get -y install alien locales libc6-i386 lib32z1 libnss3-1d libnspr4-0d lsb-security lsb-core
Скачайте пакет КриптоПро CSP 3.9
tar -xf /linux-amd64.tgz
cd linux-amd64
alien -kci cprocsp-compat-altlinux-64-1.0.0-1.noarch.rpm
alien -kci lsb-cprocsp-base-3.9.0-4.noarch.rpm
alien -kci lsb-cprocsp-rdr-64-3.9.0-4.x86_64.rpm
alien -kci lsb-cprocsp-capilite-64-3.9.0-4.x86_64.rpm
alien -kci lsb-cprocsp-kc1-64-3.9.0-4.x86_64.rpm
alien -kci cprocsp-stunnel-64-3.9.0-4.x86_64.rpm
export PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')"
apt-get -y install pcscd pcsc-tools openct libusb-dev libccid
Создайте файл /etc/profile.d/cryptopro.sh с содержимым
export PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')"
Проверка корректной установки
cpconfig -license -view
Должно быть выведена информация о лицензии
Server license:
39390-Z0037-EA3YG-GRQED-E6LPZ
Expires: 3 month(s) 0 day(s)
Client license:
39390-Z0037-EA3YG-GRQED-E6LPZ
Expires: 3 month(s) 0 day(s)
Установка драйверов для работы с Токен
mkdir ../alladin
cd ../alladin
wget http://www.aladdin-rd.ru/support/downloads/get?ID=21493 -O alladin.zip
unzip alladin.zip
cd RPM\ 64/RPM/
alien pkiclient-5.00.28-0.x86_64.rpm
dpkg -i pkiclient_5.00.28-1_amd64.deb
cd /root/linux-amd64
alien -kci cprocsp-rdr-pcsc-64-3.9.0-4.x86_64.rpm
alien -kci cprocsp-rdr-jacarta-3.6.1-3.6.346-1.x86_64.rpm
Вставьте Токен
service pcscd start
list_pcsc
Должно отобразится подобное:
available reader: Aladdin eToken PRO USB 72K Java [Main Interface] 00 00
Установка Оpenssl xmlsec
mkdir /root/openssl/
cd /root/openssl/
wget http://openssl.org/source/openssl-1.0.2e.tar.gz
wget --no-check-certificate http://www.aleksey.com/xmlsec/download/xmlsec1-1.2.20.tar.gz
tar xvzf openssl-1.0.2e.tar.gz
tar xvzf xmlsec1-1.2.20.tar.gz
cd openssl-1.0.2e
./config --prefix=/usr/local/openssl-1.0.2 shared
make
make install
Добавить строки в файл /usr/local/openssl-1.0.2/ssl/openssl.cnf:
В начало:
openssl_conf = openssl_def
В конец:
[openssl_def]
engines = engine_section
[engine_section]
gost = gost_section
[gost_section]
engine_id = gost
dynamic_path = /usr/local/openssl-1.0.2/lib/engines/libgost.so
default_algorithms = ALL
CRYPT_PARAMS = id-Gost28147-89-CryptoPro-A-ParamSet
cd ../xmlsec1-1.2.20
./configure --prefix=/usr/local/xmlsec1–1.2.20 --enable-gost --disable-crypto-dl --withopenssl=/usr/local/openssl-1.0.2 --without-gcrypt --without-gnutls --without-libxslt
make
make install
mv /usr/lib/ssl/openssl.cnf /usr/lib/ssl/openssl.cnf_bak
mv /usr/bin/openssl /usr/bin/openssl_bak
Установка Терминала CyberFT
Загрузите архив с актуальной версией Терминала на FTP: http://download.cyberft.ru/
Сохраните архив в ОС Debian в каталог /home/
Создайте каталог, в который будет распакован архив. Например, /cyberft/.
В /etc/default/stunnel4 проставить ENABLED=1
Распакуйте архив с дистрибутивом, командой:
tar -zxf /home/cyberft-v3.1.4.10.tar.gz -C /home/cyberft/
Для запуска установки выполните:
/home/cyberft/install.sh
Установка терминала осуществляется без использования docker
ln -s /usr/local/openssl-1.0.2/bin/openssl /usr/bin/openssl
ln -s /usr/local/openssl-1.0.2/ssl/openssl.cnf /usr/lib/ssl/openssl.cnf
ln -s /home/cyberft/cyberft/www/bin/cyberft-crypt /usr/local/bin/cyberft-crypt
echo "/usr/local/xmlsec1–1.2.20/lib/" >> /etc/ld.so.conf.d/xmlsec.conf
ldconfig
export PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')"
в /etc/php5/fpm/php.ini изменить upload_max_filesize = 200M
пропишите в /etc/environment
export OPENSSL_CONF="/usr/local/openssl-1.0.2/ssl/openssl.cnf"
service stunnel4 restart
service nginx restart
service php5-fpm restart
/home/cyberft/cyberft/www/start-daemons.sh
Генерация локальных ключей КриптоПРО
Все действия с КриптоПро осуществляются из под пользователя www-data
Ко всем командам добавляется
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')"
Создаем криптохранилище и файла запроса сертификата.
В запросе, в реквизитах ключа, укажите свои реквизиты
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" cryptcp -creatrqst dn "C=RU,ST=Moscow,L=Moscow,O=Cyberplat Ltd,OU=IT,E=user@cyberplat.com,CN=User" cont '\\.\hdimage\my' my.csr
в данном примере my это название криптохранилища.
My.csr – название ключа
После генерации открываем полученный файл в редакторе
nano my.csr
и копируем содержимое
Открываем в браузере страницу Тестового УЦ КриптоПро, вставляем туда содержимое
файла my.csr и нажимаем выбрать.
Скачиваем полученный сертификат в формате DER.
Полученный сертификат устанавливаем в хранилище КриптоПро
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" cryptcp -instcert -cont
'\\.\hdimage\my' /root/linux-amd64/certs/cert.cer
Проверяем установленный сертификат командой
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" certmgr -list
Импорт ключей пользователя в хранилище сервера Терминала CyberFT
Вставьте Токен
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" list_pcsc
Добавим в настройки КриптоПро токен с именем "Aladdin eToken PRO USB 72K Java [Main Interface]
00 00"
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')"
/opt/cprocsp/sbin/amd64/cpconfig -hardware reader -add "Aladdin eToken PRO USB 72K Java [Main
Interface] 00 00" -name "MyeToken"
Выводим список доступных контейнеров
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" csptest -keyset enum_cont -fqcn -verifyc
если вывод пустой выполните:
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" service pcscd restart
повторите предыдущий шаг:
Добавим в систему контейнер \\.\Aladdin eToken PRO USB 72K Java [Main Interface] 00 00\test_key
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" certmgr -inst -cont
'\\.\Aladdin eToken PRO USB 72K Java [Main Interface] 00 00\test_key'
cd /var/www/cyberft/www/
Вывод доступных сертификатов
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" certmgr –list
Копируем cyberft-crypt в систему
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" ln -s
/home/cyberft/cyberft/www/bin/cyberft-crypt /usr/local/bin/cyberft-crypt
Добавьте сертификат из хранилища токена в терминал через консоль
cd /home/cyberft/cyberft/www
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" ./yii cryptopro/installcertificates
Произведите настройки сертификатов в веб интерфейсе (описано ниже)
Для добавления сертификата проверки подписи выполнить
cd /home/cyberft/cyberft/www
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" ./yii cryptopro/addcertificates-from-terminal fileact
Добавьте сертификат из локального хранилища в терминал через консоль
cd /home/cyberft/cyberft/www
sudo -u www-data env PATH="$PATH:$(ls -d /opt/cprocsp/{s,}bin/*|tr '\n' ':')" ./yii cryptopro/installcertificate-from-container (название контейнера)
Настройка Терминала CyberFT через веб интерфейс
Генерация ключей автоматического подписанта.
Входим в Настройки -> Ключи автоподписантов
Заполняем реквизиты ключа.
Владелец ключа вводит пароль приватного ключа.
Нажимаем «Создать ключ».
Сгенерится комплект ключей.
По нажатию кнопки «Скачать файл» можно выгрузить сертификат открытого ключа.
Настройка автоматического подписания FileAct ключами КриптоПро
Важно! Настройка обмена и подписания КриптоПРО в функционале модуля Обмен с внешней
системой (Обмен файлами в формате ISO20022) осуществляется полностью аналогичным
образом.
Входим в FileAct -> Настройки КриптоПро
В блоке Подписание отображаются доступные ключи подписантов, установленные ранее
администратором сервера в хранилище ключей КриптоПро.
По нажатию на кнопку «Настройки» открываются свойства ключа
Необходимо привязать ключ к пользователю указав соответствующий User ID.
Активация ключей подписантом.
1) Входим в Терминал под пользователем владельцем ключа
2) Входим в свойства учетной записи пользователя (отмечено красным)
В Блоке FileAct отображаются привязанные к пользователю ключи.
3) Для активации ключа входим в «Настройки» соответствующего ключа.
4) Владелец ключа собственноручно вводит пароль от ключа, ставит галочку в чекбокс
Activate, нажимает «Изменить»
Ключ активирован и добавлен в процесс автоматического подписания исходящих
сообщений FileAct.
Настройка верификации входящих сообщений
Для настройки верификации входящих сообщений заходим в FileAct -> Настройки
Настройки КриптоПро
В блоке Верификация входящих необходимо добавить сертификаты ключей участников,
которыми должны быть в обязательном порядке подписаны все входящие сообщения от
соответствующего участника.
Для активации ключей необходимо выполнить следующие команды через консоль:
./yii cryptopro/add-certificates-from-terminal "fileact"
или
./yii cryptopro/add-certificates-from-terminal "iso20022"
Статус сертификата должен измениться на «Готов к использованию»
Настройка почтового сервера для рассылки уведомлений
Заходим в Настройки -> Настройки почтовых оповещений
Указываем реквизиты почтового сервера и нажимаем «Сохранить»
Настройка списка рассылки уведомлений
Заходим в Настройки -> Список рассылки оповещений
Добавляем пользователей в список рассылки.
Сообщения будут рассылаться на указанный email пользователя.
Настройка оповещений по событиям
Заходим в Настройки -> Параметры событий оповещения
Активируем рассылку уведомлений в соответствии с событиями, настраиваем
соответствующие параметры и сохраняем.
Подключение сетевых дисков
При подключении сетевого диска указываем:
Папка для импорта: \\192.168.72.128\cyberft_import
Папка для экспорта: \\192.168.72.128\cyberft_export
Пользователь: cyberft-samba
Пароль указывается при установке samba